WYROK TRYBUNAŁU (wielka izba)

z dnia 13 maja 2014 r.(*)

Dane osobowe – Ochrona osób fizycznych w zakresie przetwarzania tych danych – Dyrektywa 95/46/WE – Artykuły 2, 4, 12 i 14 – Przedmiotowy i terytorialny zakres stosowania – Wyszukiwarki internetowe – Przetwarzanie danych zawartych na stronach internetowych – Wyszukiwanie, indeksacja i przechowywanie tych danych – Odpowiedzialność operatora wyszukiwarki internetowej – Prowadzenie działalności gospodarczej na terenie państwa członkowskiego – Zakres obowiązków spoczywających na tym operatorze oraz praw przysługujących danej osobie – Karta praw podstawowych Unii Europejskiej – Artykuły 7 i 8

W sprawie C‑131/12

mającej za przedmiot wniosek o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożony przez Audiencia Nacional (Hiszpania) postanowieniem z dnia 27 lutego 2012 r., które wpłynęło do Trybunału w dniu 9 marca 2012 r., w postępowaniu:

Google Spain SL,

Google Inc.

przeciwko

Agencia Española de Protección de Datos (AEPD),

Mariowi Costesze Gonzálezowi,

TRYBUNAŁ (wielka izba),

w składzie: V. Skouris, prezes, K. Lenaerts, wiceprezes, M. Ilešič (sprawozdawca), L. Bay Larsen, T. von Danwitz, M. Safjan, prezesi izb, J. Malenovský, E. Levits, A. Ó Caoimh, A. Arabadjiev, M. Berger, A. Prechal i E. Jarašiūnas, sędziowie,

rzecznik generalny: N. Jääskinen,

sekretarz: M. Ferreira, główny administrator,

uwzględniając pisemny etap postępowania i po przeprowadzeniu rozprawy w dniu 26 lutego 2013 r.,

rozważywszy uwagi przedstawione:

–        w imieniu Google Spain SL oraz Google Inc przez F. Gonzáleza Díaza, J. Baña Fosa oraz B. Hollesa, abogados,

–        w imieniu M. Costejy Gonzáleza przez J. Muñoza Rodrígueza, abogado,

–        w imieniu rządu hiszpańskiego przez A. Rubia Gonzáleza, działającego w charakterze pełnomocnika,

–        w imieniu rządu greckiego przez E.M. Mamounę oraz K. Boskovitsa, działających w charakterze pełnomocników,

–        w imieniu rządu włoskiego przez G. Palmieri, działającą w charakterze pełnomocnika, wspieraną przez P. Gentilego, avvocato dello Stato,

–        w imieniu rządu austriackiego przez G. Kunnerta oraz C. Pesendorfer, działających w charakterze pełnomocników,

–        w imieniu rządu polskiego przez B. Majczynę oraz M. Szpunara, działających w charakterze pełnomocników,

–        w imieniu Komisji Europejskiej przez I. Martínez del Peral oraz B. Martenczuka, działających w charakterze pełnomocników,

po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 25 czerwca 2013 r.,

wydaje następujący

Wyrok

1        Niniejszy wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 2 lit. b) i d), art. 4 ust. 1 lit. a) i c), art. 12 lit. b) oraz art. 14 akapit pierwszy lit. a) dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. L 281, s. 31), a także art. 8 Karty praw podstawowych Unii Europejskiej (zwanej dalej „kartą”).

2        Wniosek ten został przedstawiony w ramach sporu pomiędzy Google Spain SL (zwaną dalej „Google Spain”) i Google Inc. a Agencia Española de Protección de Datos (hiszpańską agencją ochrony danych, zwaną dalej „AEPD”) i M. Costeją Gonzálezem w przedmiocie wydanej przez tę agencję decyzji uwzględniającej wniesioną przez M. Costeję Gonzáleza skargę na te dwie spółki i nakazującej Google Inc. przyjęcie środków koniecznych do usunięcia danych osobowych dotyczących M. Costejy Gonzáleza z jej indeksu oraz uniemożliwienie dostępu do tych danych w przyszłości.

 Ramy prawne

 Prawo Unii

3        Dyrektywa 95/46, której określonym w jej art. 1 celem jest ochrona podstawowych praw i wolności osób fizycznych, w szczególności ich prawa do prywatności w zakresie przetwarzania danych osobowych, a także usuwanie przeszkód w swobodnym przepływie tych danych, stanowi w swych motywach 2, 10, 18–20 i 25, co następuje:

„(2)      Systemy przetwarzania danych są tworzone po to, aby służyły człowiekowi; muszą one, niezależnie od obywatelstwa czy miejsca stałego zamieszkania osób fizycznych, szanować ich podstawowe prawa i wolności, szczególnie prawo do prywatności, oraz przyczyniać się do […] dobrobytu jednostek.

[…]

(10)      Celem krajowych przepisów prawa dotyczących przetwarzania danych osobowych jest ochrona podstawowych praw i wolności, szczególnie prawa do prywatności, które zostało uznane zarówno w art. 8 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności [podpisanej w Rzymie w dniu 4 listopada 1950 r.] oraz [jak i] w zasadach ogólnych prawa wspólnotowego; z tego powodu zbliżanie przepisów prawa nie powinno wpłynąć na zmniejszenie ochrony, jaką gwarantują, lecz przeciwnie, musi dążyć do zapewnienia jak najwyższego stopnia ochrony we Wspólnocie.

[…]

(18)      Aby nie dopuścić do pozbawienia jednostek ochrony, do której mają prawo na mocy niniejszej dyrektywy, wszelkie przetwarzanie danych osobowych we Wspólnocie musi być przeprowadzane zgodnie z ustawodawstwem jednego z państw członkowskich; w związku z tym przetwarzanie danych przeprowadzane na odpowiedzialność administratora danych, który prowadzi działalność gospodarczą na terenie państwa członkowskiego, powinno być regulowane przez ustawodawstwo tego państwa.

(19)      Prowadzenie działalności gospodarczej na terytorium państwa członkowskiego zakłada efektywne i rzeczywiste prowadzenie działań poprzez stabilne rozwiązania; forma prawna prowadzonej działalności gospodarczej, niezależnie czy jest to oddział lub filia [spółka zależna] posiadająca osobowość prawną, nie jest w tym względzie czynnikiem decydującym; w przypadku ustanowienia jednego administratora danych na terytorium kilku państw członkowskich, szczególnie w postaci filii [spółki zależnej], musi on zapewnić, w celu uniknięcia obejścia przepisów krajowych, że każda z prowadzonych działalności gospodarczych będzie spełniać obowiązki wynikające z prawa krajowego.

(20)      Przetwarzanie danych przez osobę prowadzącą działalność w państwie trzecim nie może stać na przeszkodzie ochronie osób fizycznych przewidzianej w niniejszej dyrektywie; w tych przypadkach przetwarzanie danych powinno podlegać przepisom prawa państwa członkowskiego, w którym znajdują się wykorzystywane do tego celu środki, oraz powinny istnieć gwarancje zapewniające przestrzeganie w praktyce praw i obowiązków przewidzianych w niniejszej dyrektywie.

[…]

(25)      Zasady ochrony muszą znajdować odzwierciedlenie z jednej strony w obowiązkach nałożonych na osoby, władze publiczne, przedsiębiorstwa, agencje i inne organy odpowiedzialne za przetwarzanie danych, zwłaszcza w zakresie jakości danych, bezpieczeństwa technicznego, zawiadamiania organu nadzorczego oraz okoliczności, w których może odbywać się przetwarzanie danych, jak również z drugiej strony w prawie osób, których dane są przedmiotem przetwarzania, do uzyskania informacji, że takie przetwarzanie danych ma miejsce, do konsultowania danych, żądania poprawek lub nawet sprzeciwu wobec przetwarzania danych w niektórych przypadkach”.

4        Artykuł 2 dyrektywy 95/46 stanowi, że „[d]o celów [tej] dyrektywy”:

a)      „[pojęcie »danych osobowych«]: oznacza wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (»osoby, której dane dotyczą«); osoba możliwa do zidentyfikowania to osoba, której tożsamość można ustalić bezpośrednio lub pośrednio, szczególnie przez powołanie się na numer identyfikacyjny lub jeden bądź kilka szczególnych czynników określających jej fizyczną, fizjologiczną, umysłową, ekonomiczną, kulturową lub społeczną tożsamość;

b)      »przetwarzanie danych osobowych« (»przetwarzanie«) oznacza wszelkie operacje lub ciąg operacji dokonywany na danych osobowych, przy użyciu lub bez użycia środków automatycznych, takich jak gromadzenie, zapisywanie, porządkowanie, przechowywanie, dostosowywanie lub zmiana, odzyskiwanie, przeglądanie, wykorzystywanie, ujawnianie przez przesyłanie, rozpowszechnianie lub udostępnianie w inny sposób, zestawianie lub łączenie, blokowanie, usuwanie lub niszczenie;

[…]

d)      »administrator danych« oznacza osobę fizyczną lub prawną, organ publiczny, agencję lub inny organ, który samodzielnie lub wspólnie z innymi określa cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby przetwarzania danych są określane w przepisach ustawowych i wykonawczych lub przepisach wspólnotowych, administrator danych może być powoływany lub kryteria jego powołania mogą być ustalane przez ustawodawstwo krajowe lub wspólnotowe;

[…]”.

5        Artykuł 3 tej dyrektywy, zatytułowany „Zakres obowiązywania”, stanowi w ust. 1, co następuje:

„Niniejsza dyrektywa stosuje się do przetwarzania danych osobowych w całości lub w części w sposób zautomatyzowany oraz innego przetwarzania danych osobowych, stanowiących część zbioru danych lub mających stanowić część zbioru danych”.

6        Artykuł 4 tej samej dyrektywy, zatytułowany „Odpowiednie prawo krajowe”, przewiduje:

„1.      Każde państwo członkowskie stosuje, w odniesieniu do przetwarzania danych osobowych, przepisy prawa krajowego przyjmowane na mocy niniejszej dyrektywy wówczas, gdy:

a)      przetwarzanie danych odbywa się w kontekście prowadzenia przez administratora danych działalności gospodarczej na terytorium państwa członkowskiego; jeżeli ten sam administrator danych prowadzi działalność gospodarczą na terytorium kilku państw członkowskich, musi on podjąć niezbędne działania, aby zapewnić, że każde z tych przedsiębiorstw wywiązuje się z obowiązków przewidzianych w odpowiednich przepisach prawa krajowego;

b)      administrator danych nie prowadzi działalności gospodarczej na terytorium państwa członkowskiego, lecz w miejscu, gdzie jego prawo krajowe obowiązuje na mocy międzynarodowego prawa publicznego;

c)      administrator danych nie prowadzi działalności gospodarczej na terytorium Wspólnoty, a do celów przetwarzania danych osobowych wykorzystuje środki, zarówno zautomatyzowane, jak i inne, znajdujące się na terytorium wymienionego państwa członkowskiego, o ile środki te nie są wykorzystywane wyłącznie do celów tranzytu przez terytorium Wspólnoty.

2.      W okolicznościach określonych w ust. 1 lit. c) administrator danych musi wyznaczyć swojego przedstawiciela na terytorium tego państwa członkowskiego, bez uszczerbku dla postępowań sądowych, jakie mogłyby być podjęte przeciwko samemu administratorowi danych”.

7        Znajdujący się w rozdziale II sekcji I dyrektywy 95/46 art. 6, zatytułowany „Zasady dotyczące jakości danych”, brzmi następująco:

„1.      Państwa członkowskie zapewniają, aby dane osobowe były:

a)      przetwarzane rzetelnie i legalnie;

b)      gromadzone do określonych, jednoznacznych i legalnych celów i nieprzetwarzane dalej w sposób niezgodny z tymi celami. Dalsze przetwarzanie danych w celach historycznych, statystycznych lub naukowych nie jest uważane za niezgodne z przepisami pod warunkiem ustanowienia przez państwa członkowskie odpowiednich środków zabezpieczających;

c)      prawidłowe [właściwe], stosowne oraz nienadmierne ilościowo w stosunku do celów, dla których zostały gromadzone i/lub przetwarzane dalej;

d)      prawidłowe oraz, w razie konieczności, aktualizowane; należy podjąć wszelkie uzasadnione działania, aby zapewnić usunięcie lub poprawienie nieprawidłowych lub niekompletnych danych, biorąc pod uwagę cele, dla których zostały zgromadzone lub dla których są dalej przetwarzane;

e)      przechowywane w formie, która pozwala na zidentyfikowanie podmiotów danych przez czas nie dłuższy niż jest to konieczne do celów, dla których dane były gromadzone lub dla których są przetwarzane dalej. Państwa członkowskie ustanowią odpowiednie środki zabezpieczające dla danych przechowywanych przez dłuższe okresy dla potrzeb historycznych, statystycznych i naukowych.

2.      Na administratorze danych spoczywa obowiązek zapewnienia przestrzegania przepisów ust. 1”.

8        Znajdujący się w rozdziale II sekcji II dyrektywy 95/46 art. 7, zatytułowany „Kryteria legalności przetwarzania danych”, brzmi zaś następująco:

„Państwa członkowskie zapewniają, że dane osobowe mogą być przetwarzane tylko wówczas, gdy:

[…]

f)      przetwarzanie danych jest konieczne dla potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej, lub osobom [osób], którym dane są ujawniane, z wyjątkiem sytuacji, kiedy interesy takie podporządkowane są interesom związanym z podstawowymi prawami i wolnościami osoby, której dane dotyczą, które gwarantują ochronę na podstawie art. 1 ust. 1”.

9        Artykuł 9 tej dyrektywy, zatytułowany „Przetwarzanie danych osobowych i wolność wypowiedzi”, stanowi:

„Państwa członkowskie wprowadzają możliwość wyłączenia lub odstąpienia od przepisów niniejszego rozdziału, rozdziału IV i VI w przypadku przetwarzania danych osobowych wyłącznie w celach dziennikarskich lub w celu uzyskania wyrazu artystycznego lub literackiego jedynie wówczas, gdy jest to konieczne dla pogodzenia prawa do zachowania prywatności z przepisami dotyczącymi wolności wypowiedzi”.

10      Artykuł 12 tej samej dyrektywy, zatytułowany „Prawo dostępu do danych”, przewiduje:

„Państwa członkowskie zapewniają każdej osobie, której dane dotyczą, prawo do uzyskania od administratora danych:

[…]

b)      odpowiednio do przypadku, sprostowania, usunięcia lub zablokowania danych, których przetwarzanie jest niezgodne z przepisami niniejszej dyrektywy, szczególnie ze względu na niekompletność lub niedokładność danych;

[…]”.

11      Artykuł 14 dyrektywy 95/46, zatytułowany „Prawo sprzeciwu przysługujące osobie, której dane dotyczą”, brzmi następująco:

„Państwa członkowskie przyznają osobie, której dane dotyczą, prawo:

a)      przynajmniej w przypadkach wymienionych w art. 7 lit. e) i f), w dowolnym czasie z ważnych i uzasadnionych przyczyn wynikających z jego [jej] konkretnej sytuacji, sprzeciwu co do przetwarzania dotyczących jej danych, z zastrzeżeniem odmiennych postanowień ustawodawstwa krajowego. W przypadku uzasadnionego sprzeciwu przetwarzanie danych przez administratora danych nie może już obejmować tych danych;

[…]”.

12      Artykuł 28 wspomnianej dyrektywy, zatytułowany „Organ nadzorczy”, sformułowany jest w sposób następujący:

„1.      Każde państwo członkowskie zapewni, że jeden lub więcej organów władzy publicznej będzie odpowiedzialnych za kontrolę stosowania na jego terytorium przepisów przyjętych przez państwa członkowskie na mocy niniejszej dyrektywy.

[…]

3.      Każdemu organowi nadaje się w szczególności:

–        uprawnienia dochodzeniowe, takie jak prawo do dostępu do danych, które stanowią przedmiot operacji przetwarzania, oraz prawo do gromadzenia wszelkich informacji potrzebnych mu do wykonywania swoich funkcji nadzorczych;

–        skuteczne uprawnienia interwencyjne, jak np. prawo do […] zarządzania blokady, usunięcia lub zniszczenia danych, nakładania czasowego lub ostatecznego zakazu przetwarzania danych […];

–        […]

Od decyzji organu nadzorczego, co do którego zgłaszane są zastrzeżenia, przysługuje odwołanie do właściwego sądu.

4.      Każdy organ nadzorczy rozpatruje skargi zgłaszane przez dowolną osobę lub przez stowarzyszenie ją reprezentujące, odnośnie do ochrony jej praw i wolności w zakresie przetwarzania danych osobowych. Daną osobę powiadamia się o wyniku rozpatrzenia wniosku.

[…]

6.      Każdy organ nadzorczy jest właściwy, niezależnie od krajowych przepisów dotyczących danego przypadku przetwarzania danych, do wykonywania na terytorium państwa członkowskiego uprawnień powierzonych mu zgodnie z ust. 3. Do każdego organu można się zwrócić z żądaniem wykonania jego uprawnień przez odpowiedni organ innego państwa członkowskiego.

Organy nadzorcze współpracują ze sobą w zakresie koniecznym do wykonywania swoich obowiązków, zwłaszcza poprzez wymianę wszelkich przydatnych informacji.

[…]”.

 Prawo hiszpańskie

13      Dyrektywa 95/46 została transponowana do prawa hiszpańskiego ustawą organiczną nr 15/1999 z dnia 13 grudnia 1999 r. w sprawie ochrony danych osobowych (BOE nr 298 z dnia 14 grudnia 1999 r., s. 43088).

 Postępowanie główne i pytania prejudycjalne

14      W dniu 5 marca 2010 r. zamieszkały w Hiszpanii hiszpański obywatel M. Costeja González wniósł do AEPD skargę skierowaną przeciwko La Vanguardia Ediciones SL (zwanej dalej „La Vanguardią”), która to spółka publikuje, w szczególności w Katalonii (Hiszpania), wysokonakładowy dziennik, oraz przeciwko spółkom Google Spain i Google Inc. Skarga ta opierała się na tym, że przy wprowadzeniu imienia i nazwiska M. Costejy Gonzáleza do wyszukiwarki grupy Google (zwanej dalej „Google Search”) pojawiał się link do dwóch stron dziennika „La Vanguardia”, odpowiednio, z dnia 19 stycznia i 9 marca 1998 r., na których znajdowało się zawierające to imię i nazwisko ogłoszenie w przedmiocie licytacji nieruchomości związanej z ich zajęciem wynikającym z niespłaconych należności na rzecz zakładu zabezpieczeń społecznych.

15      W skardze tej M. Costeja González zwrócił się przede wszystkim o nakazanie La Vanguardii usunięcia lub zmiany tych stron internetowych w taki sposób, by nie pojawiały się na nich jego dane osobowe, lub też wykorzystania przez nią narzędzi udostępnianych przez wyszukiwarki internetowe do ochrony jego danych osobowych. Domagał się on również zobowiązania Google Spain lub Google Inc. do usunięcia lub ukrycia jego danych osobowych w taki sposób, by nie były one ujawniane w wynikach wyszukiwania i powiązane z linkami do publikacji w gazecie „La Vanguardia”. Mario Costeja González twierdził w tym kontekście, że dotyczące go zajęcie nieruchomości zostało całkowicie zakończone, kwestia ta została rozwiązana już wiele lat temu i że aktualnie nie ma żadnego znaczenia.

16      W wydanej w dniu 30 lipca 2010 r. decyzji AEPD oddaliła tę skargę w zakresie dotyczącym La Vanguardii, uznając, że ta publikacja rozpatrywanych przez nią informacji była prawnie uzasadniona, gdyż nastąpiła na żądanie ministerstwa pracy i polityki społecznej, a jej celem było jak najszersze rozpowszechnienie informacji o licytacji, tak aby owa licytacja miała jak największą liczbę uczestników.

17      Skarga ta jednak została uwzględniona w zakresie dotyczącym Google Spain i Google Inc. AEPD uznała w tym względzie, że operatorzy wyszukiwarek internetowych podlegają przepisom z zakresu ochrony danych, gdyż dokonują przetwarzania danych, za które ponoszą odpowiedzialność, oraz działają jako pośrednicy społeczeństwa informacyjnego. AEPD uznała, że ma ona prawo do nakazania usunięcia tych danych i zakazania operatorom wyszukiwarek internetowych dostępu do niektórych z nich, jeśli uzna, iż ich umiejscowienie i stopień rozpowszechnienia mogą naruszać prawo podstawowe do ochrony danych i godności osób w szerokim znaczeniu, które może również obejmować tylko wolę danej osoby, aby dotyczące jej dane nie były znane osobom trzecim. AEPD uznała, że obowiązek ten może spoczywać bezpośrednio na operatorach wyszukiwarek internetowych, bez konieczności usuwania tych danych ze strony internetowej, na której się one znajdują, zwłaszcza w sytuacji, gdy zachowanie tych informacji na tej stronie ma za podstawę przepis prawa.

18      Google Spain i Google Inc. wniosły do Audiencia Nacional dwie osobne skargi, które zostały połączone do celów rozpoznania sprawy.

19      W postanowieniu odsyłającym sąd ten wyjaśnia, że owe skargi dotyczą kwestii tego, jakie obowiązki spoczywają na operatorach wyszukiwarek internetowych w zakresie ochrony danych osobowych osób nieżyczących sobie, aby pewne informacje, opublikowane na stronach internetowych i zawierające ich dane osobowe umożliwiające połączenie tych informacji z tymi osobami, były umiejscawiane, indeksowane i udostępniane internautom w niedookreślony sposób. Odpowiedź na to pytanie jest uzależniona od tego, w jaki sposób należy dokonywać wykładni dyrektywy 95/46 w kontekście technologii, które pojawiły się już po jej publikacji.

20      W tych okolicznościach Audiencia Nacional postanowiła zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:

„1)      Co się tyczy terytorialnego zakresu stosowania dyrektywy [95/46] i w konsekwencji hiszpańskiego ustawodawstwa ochrony danych osobowych:

a)      Czy należy uznać, iż ma miejsce »działalność gospodarcza« w rozumieniu art. 4 ust. 1 lit. a) dyrektywy [95/46], gdy zachodzi jeden lub kilka z następujących przypadków:

–        gdy przedsiębiorstwo będące dostawcą wyszukiwania [operator wyszukiwarki internetowej] ustanawia w danym państwie członkowskim biuro lub oddział [oddział lub spółkę zależną], których celem jest promocja i sprzedaż powierzchni reklamowych w wyszukiwarce [przez wyszukiwarkę], której działalność jest skierowana do osób zamieszkujących to państwo,

lub

–        gdy spółka dominująca wyznacza oddział znajdujący [spółkę zależną znajdującą] się w tym państwie członkowskim jako swojego przedstawiciela i jednocześnie jako administratora danych odpowiedzialnego za przetwarzanie dwóch określonych zbiorów, które wykazują związek z danymi klientów, którzy zamówili usługi reklamowe w rzeczonym przedsiębiorstwie,

lub

–        gdy biuro lub oddział [oddział lub spółka zależna] ustanowione w danym państwie członkowskim przekazują swojej spółce dominującej znajdującej się poza Unią Europejską wnioski i żądania kierowane do niej zarówno przez osoby, których dane dotyczą, jak i przez właściwe organy w związku z przestrzeganiem prawa do ochrony danych osobowych, nawet jeśli taka współpraca jest dobrowolna?

b)      Czy art. 4 ust. 1 lit. c) dyrektywy [95/46] należy interpretować w ten sposób, że »wykorzyst[anie] środk[ów] znajdując[ych] się na terytorium wymienionego państwa członkowskiego« następuje w sytuacji:

–        gdy wyszukiwarka korzysta z robotów internetowych lub tzw. pająków, by zlokalizować i zindeksować treści stron internetowych umieszczonych na serwerach znajdujących w tym państwie członkowskim,

lub

–        gdy wyszukiwarka posługuje się nazwą domeny przypisaną do danego państwa członkowskiego i porządkuje wyszukiwanie i wyniki z uwzględnieniem języka tego państwa członkowskiego?

c)      Czy można uznać za wykorzystanie środków w rozumieniu art. 4 ust. 1 lit. c) dyrektywy [95/46] czasowe przechowywanie informacji zindeksowanych przez wyszukiwarki internetowe? Jeżeli odpowiedź na to ostatnie pytanie będzie twierdząca, czy można uznać, iż ten łącznik występuje, gdy przedsiębiorstwo odmawia wskazania miejsca przechowywania tych indeksów, powołując się na względy konkurencyjności?

d)      Niezależnie od odpowiedzi na wcześniejsze pytania i w szczególności w przypadku, gdyby Trybunał […] uznał, że nie występują łączniki przewidziane w art. 4 dyrektywy [95/46]:

Czy należy stosować dyrektywę [95/46] z uwzględnieniem art. 8 [karty] w tym państwie członkowskim, w którym mieści się punkt ciężkości konfliktu, tak by umożliwić bardziej skuteczną ochronę praw obywateli Unii […]?

2)      Co się tyczy działalności wyszukiwarek internetowych jako dostawców treści w odniesieniu do dyrektywy [95/46]:

a)      W związku z działalnością [Google Search] w Internecie jako dostawcy treści, która to działalność polega na zlokalizowaniu informacji opublikowanych lub zamieszczonych w sieci przez osoby trzecie, indeksowaniu ich w sposób automatyczny, czasowym przechowywaniu takich informacji i wreszcie ich udostępnianiu internautom w sposób uporządkowany zgodnie z określonymi preferencjami, w sytuacji gdy takie informacje zawierają dane osobowe osób trzecich, czy należy uznać opisaną powyżej działalność za »przetwarzanie danych« w rozumieniu definicji zawartej w art. 2 lit. b) dyrektywy [95/46]?

b)      W przypadku gdy odpowiedź na powyższe pytanie będzie twierdząca i w związku z taką działalnością jak opisana powyżej: czy należy interpretować art. 2 lit. d) dyrektywy [95/46] w ten sposób, że przedsiębiorstwo, które zarządza [Google Search], jest »administratorem danych« osobowych zawartych na stronach internetowych indeksowanych przez tę wyszukiwarkę?

c)      W przypadku gdy odpowiedź na powyższe pytanie będzie twierdząca:

Czy [AEPD], strzegąc praw zawartych w art. 12 lit. b) i art. 14 [akapit pierwszy] lit. a) dyrektywy [95/46], może zażądać bezpośrednio od przedsiębiorstwa […] prowadzącego [Google Search] usunięcia z jego indeksów informacji opublikowanych przez osoby trzecie, bez uprzedniego lub jednoczesnego zwrócenia się z takim żądaniem do podmiotu będącego właścicielem [edytora] strony internetowej, na której zamieszczona została ta informacja [zamieszczone zostały te informacje]?

d)      W przypadku gdy odpowiedź na to ostatnie pytanie będzie twierdząca:

Czy odpowiedzialność podmiotów prowadzących wyszukiwarki internetowe za przestrzeganie tych praw jest wyłączona, w sytuacji gdy informacja zawierająca dane osobowe została opublikowana zgodnie z prawem przez osoby trzecie i nadal znajduje się na źródłowej stronie internetowej?

3)      Co się tyczy zakresu prawa do unieważnienia lub sprzeciwu w kontekście [»derecho al olvido«] (»prawa do bycia zapomnianym«), pojawia się następujące pytanie:

Czy należy interpretować prawo do usunięcia i zablokowania danych ustanowione w art. 12 lit. b) oraz prawo sprzeciwu wynikające z art. 14 [akapit pierwszy] lit. a) dyrektywy [95/46] jako obejmujące prawo zainteresowanego do zwracania się do wyszukiwarek w celu uniemożliwienia indeksowania dotyczącej go informacji, opublikowanej na stronach internetowych osób trzecich, a takie żądania byłyby podyktowane wolą zainteresowanego, by te informacje nie były dostępne dla internautów, gdyż uważa, że mogą mu zaszkodzić, lub też życzy sobie »być zapomnianym«, nawet jeśli dotyczy to informacji opublikowanych zgodnie z prawem przez osoby trzecie?”.

 W przedmiocie pytań prejudycjalnych

 W przedmiocie pytania drugiego lit. a) i b), dotyczącego materialnego zakresu zastosowania dyrektywy 95/46

21      Zadając pytanie drugie lit. a) i b), które należy przeanalizować w pierwszej kolejności, sąd odsyłający zastanawia się w istocie, czy art. 2 lit. b) dyrektywy 95/46 należy interpretować w taki sposób, że prowadzoną przez wyszukiwarki internetowe jako dostawców treści działalność, która polega na zlokalizowaniu informacji opublikowanych lub zamieszczonych w Internecie przez osoby trzecie, indeksowaniu ich w sposób automatyczny, czasowym przechowywaniu takich informacji i wreszcie udostępnianiu ich internautom w sposób uporządkowany zgodnie z określonymi preferencjami, w sytuacji gdy informacje takie zawierają dane osobowe, należy uznać za „przetwarzanie danych osobowych” w rozumieniu tego przepisu. W przypadku udzielenia na to pytanie odpowiedzi twierdzącej sąd odsyłający chce ponadto ustalić, czy ów art. 2 lit. d) należy interpretować w ten sposób, że operator wyszukiwarki internetowej jest „administratorem” odpowiedzialnym za przetwarzanie danych osobowych w rozumieniu tego przepisu.

22      Zdaniem Google Spain i Google Inc. działalności wyszukiwarek internetowych nie można uznać za przetwarzanie danych pojawiających się na stronach internetowych osób trzecich wyświetlanych w postaci listy wyników wyszukiwania, ponieważ wyszukiwarki te przetwarzają dostępne w Internecie dane jako jedną całość, nie dzieląc ich na dane o charakterze osobowym i pozostałe informacje. Ponadto nawet przy założeniu, że działalność taką należałoby uznać za „przetwarzanie danych”, operatora wyszukiwarki internetowej nie można uznać za „administratora” odpowiedzialnego za przetwarzanie tych danych, gdyż nie posiada on o nich żadnej wiedzy i nie sprawuje nad nimi kontroli.

23      Mario Costeja González, rządy hiszpański, włoski, austriacki i polski oraz Komisja twierdzą natomiast, że taka działalność niewątpliwie wiąże się z „przetwarzaniem danych” w rozumieniu dyrektywy 95/46, które różni się od przetwarzania danych przez wydawców stron internetowych i realizuje zupełnie inne niż ono cele. Operator wyszukiwarki internetowej jest ich zdaniem „administratorem” odpowiedzialnym za przetwarzanie przezeń danych, skoro to on określa cele i sposoby tego przetwarzania.

24      Zdaniem rządu greckiego rozpatrywana działalność stanowi takie „przetwarzanie”, ale ze względu na to, że wyszukiwarki te służą jednie jako ogniwo pośrednie, nie można uznać przedsiębiorstw będących ich operatorami za „administratorów”, z wyjątkiem sytuacji, w których wyszukiwarki te przechowują dane w podręcznej pamięci buforowej („buffer cache”) przez okres czasu wykraczający poza to, co jest konieczne z technicznego punktu widzenia.

25      W tym względzie należy wskazać, że zgodnie z art. 2 lit. b) dyrektywy 95/46 „przetwarzanie danych osobowych” („przetwarzanie”) stanowią „wszelkie operacje lub ciąg operacji dokonywany na danych osobowych, przy użyciu lub bez użycia środków automatycznych, takich jak gromadzenie, zapisywanie, porządkowanie, przechowywanie, dostosowywanie lub zmiana, odzyskiwanie, przeglądanie, wykorzystywanie, ujawnianie przez przesyłanie, rozpowszechnianie lub udostępnianie w inny sposób, zestawianie lub łączenie, blokowanie, usuwanie lub niszczenie”.

26      W odniesieniu do Internetu Trybunał miał już okazję stwierdzić, że operację polegającą na zamieszczeniu danych osobowych na stronie internetowej należy uznać za takie „przetwarzanie danych osobowych” w rozumieniu art. 2 lit. b) dyrektywy 95/46 (zob. wyrok Lindqvist, C‑101/01, EU:C:2003:596, pkt 25).

27      W zakresie dotyczącym rozpatrywanej w postępowaniu głównym działalności nie ma wątpliwości co do tego, że do danych wyszukiwanych, indeksowanych i przechowywanych przez wyszukiwarki i udostępnianych ich użytkownikom należą również informacje, które dotyczą zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, a zatem „dane osobowe” w rozumieniu art. 2 lit. a) tej dyrektywy.

28      Należy zatem stwierdzić, że operator wyszukiwarki internetowej, przeszukując Internet w zautomatyzowany, stały i systematyczny sposób w poszukiwaniu opublikowanych w nim informacji, „gromadzi” takie dane, „odzyskiwane”, „zapisywane” i „porządkowane” przezeń następnie za pomocą oprogramowania indeksującego, „przechowuje” je na swych serwerach oraz, w odpowiednim przypadku, „ujawnia” i „udostępnia” je swym użytkownikom w postaci listy wyników ich wyszukiwań. Ze względu na to, że operacje te zostały wyraźnie i bezwarunkowo wskazane w art. 2 lit. b) dyrektywy 95/46, należy uznać je za „przetwarzanie” w rozumieniu tego przepisu, i bez znaczenia jest przy tym fakt, iż ten operator wyszukiwarki internetowej przeprowadza te same operacje również w odniesieniu do innego rodzaju informacji i nie wprowadza rozróżnienia między nimi a tymi danymi osobowymi.

29      Powyższe stwierdzenie nie jest też sprzeczne z faktem, że dane te są już opublikowane w Internecie i nie są zmieniane przez wyszukiwarkę internetową.

30      Trybunał stwierdził już zaś, że operacje, o których mowa w art. 2 lit. b) dyrektywy 95/46, należy uznać za takie przetwarzanie również w przypadku, gdy dotyczą one wyłącznie informacji opublikowanych już jako takie w mediach. Trybunał stwierdził bowiem w tym względzie, że ogólne odstępstwo od stosowania dyrektywy 95/46 w takim przypadku w dużej mierze pozbawiałoby tę dyrektywę sensu (zob. podobnie wyrok Satakunnan Markkinapörssi i Satamedia, C‑73/07, EU:C:2008:727, pkt 48, 49).

31      Ponadto z zawartej w art. 2 lit. b) dyrektywy 95/46 definicji wynika, że choć zmiana danych osobowych niewątpliwie stanowi przetwarzanie w rozumieniu tego przepisu, to inne wspomniane w tym przepisie operacje nie wymagają z kolei tego, aby te dane były zmieniane.

32      W odniesieniu do kwestii tego, czy można uznać operatora wyszukiwarki internetowej za „administratora” danych osobowych przetwarzanych przez tę wyszukiwarkę w ramach działalności takiej jak ta rozpatrywana w postępowaniu głównym, należy przypomnieć, że art. 2 lit. d) dyrektywy 95/46 określa tego administratora jako „osobę fizyczną lub prawną, organ publiczny, agencję lub inny organ, który samodzielnie lub wspólnie z innymi określa cele i sposoby przetwarzania danych osobowych”.

33      Zatem to właśnie operator wyszukiwarki internetowej określa cele i sposoby prowadzenia tej działalności, a więc przetwarzania przezeń w tych właśnie ramach danych osobowych, i co za tym idzie, powinien on na podstawie tego art. 2 lit. d) zostać uznany za „administratora” przetwarzanych w ten sposób danych.

34      Ponadto stwierdzić należy, że sprzeczne nie tylko z wyraźnym brzmieniem tego przepisu, lecz również z jego celem – polegającym na zapewnieniu, poprzez przyjęcie szerokiej definicji pojęcia „administratora”, skutecznej i pełnej ochrony osobom, których dotyczą dane – byłoby wyłączenie z zakresu jego stosowania operatora wyszukiwarki internetowej ze względu na to, iż nie sprawuje on kontroli nad danymi osobowymi opublikowanymi na stronach internetowych osób trzecich.

35      W tym względzie należy podkreślić, że przetwarzanie danych osobowych, które ma miejsce w ramach działania wyszukiwarki, różni się od tego dokonywanego przez wydawców stron internetowych i polegającego na zamieszczaniu tych danych na stronie internetowej oraz ma dodatkowy względem niego charakter.

36      Ponadto nie ma wątpliwości, że działalność wyszukiwarek internetowych odgrywa decydującą rolę w rozpowszechnianiu tych danych na globalną skalę ze względu na to, iż dzięki niej są one dostępne wszystkim prowadzącym wyszukiwanie internautom przyjmującym za punkt wyjścia imię i nazwisko danej osoby, w tym również tym internautom, którzy w przeciwnym razie nie znaleźliby strony internetowej, na której publikowane są te same dane.

37      Ponadto dokonywane za pomocą wyszukiwarek internetowych porządkowanie i łączenie w poszczególne całości publikowanych w Internecie informacji w celu ułatwienia jego użytkownikom dostępu do nich może – w sytuacji gdy prowadzą oni wyszukiwanie, przyjmując za punkt wyjścia imię i nazwisko osoby fizycznej – prowadzić do tego, że użytkownicy ci otrzymają, w postaci listy wyników wyszukiwania, ustrukturyzowany przegląd dotyczących tej osoby informacji, jakie można znaleźć w Internecie, umożliwiających im sporządzenie mniej lub bardziej szczegółowego profilu danej osoby.

38      Ze względu zatem na to, że działalność wyszukiwarki internetowej może zatem znacząco oddziaływać na prawa podstawowe do poszanowania prywatności i ochrony danych osobowych w dodatkowy w stosunku do działalności prowadzonej przez wydawców stron internetowych sposób, operator tej wyszukiwarki, jako osoba określająca cele i sposoby prowadzenia tej działalności, winien w ramach spoczywającej na nim odpowiedzialności zapewnić, by działalność ta spełniała określone w dyrektywie 95/46 wymogi, tak aby przewidziane w niej gwarancje były w pełni skuteczne i aby można było rzeczywiście zrealizować jej cel polegający na skutecznej i pełnej ochronie objętych nią osób, w szczególności w odniesieniu do ich prawa do poszanowania ich prywatności.

39      Wreszcie okoliczność polegająca na tym, że wydawcy stron internetowych mogą wskazać operatorom wyszukiwarek internetowych, w szczególności za pomocą protokołów takich jak „robot.txt” czy też kodów takich jak „noindex” lub „noarchive”, iż życzą sobie oni, aby określona opublikowana na ich stronie informacja została całkowicie lub częściowo usunięta z automatycznych indeksów wyszukiwarek, nie oznacza, że brak takiego wskazania przez wydawców zwalnia operatora wyszukiwarki internetowej ze spoczywającej na nim odpowiedzialności za dokonywane przezeń w ramach działalności wyszukiwarki przetwarzanie danych osobowych.

40      Okoliczność ta pozostaje bowiem bez wpływu na fakt, że to właśnie ten operator określa cele i sposoby tego przetwarzania. Ponadto nawet przy założeniu, że owo przysługujące wydawcom stron internetowych uprawnienie oznacza, iż wspólnie z tym operatorem określają oni sposoby tego przetwarzania, stwierdzenie to pozostaje bez wpływu na spoczywającą na tym operatorze odpowiedzialność, gdyż w art. 2 lit. d) dyrektywy 95/46 wyraźnie stwierdzone zostało, iż określanie to może być dokonywane „samodzielnie lub wspólnie z innymi”.

41      Z całości powyższych rozważań wynika zatem, że na pytanie drugie lit. a) i b) należy odpowiedzieć, iż art. 2 lit. b) i d) dyrektywy 95/46 należy interpretować w taki sposób, że po pierwsze, prowadzoną przez wyszukiwarki internetowe działalność, która polega na zlokalizowaniu informacji opublikowanych lub zamieszczonych w Internecie przez osoby trzecie, indeksowaniu ich w sposób automatyczny, czasowym przechowywaniu takich informacji i wreszcie udostępnianiu ich internautom w sposób uporządkowany zgodnie z określonymi preferencjami, w sytuacji gdy informacje takie zawierają dane osobowe, należy uznać za „przetwarzanie danych osobowych” w rozumieniu art. 2 lit. b) tej dyrektywy, oraz po drugie, że operatora tej wyszukiwarki internetowej należy uznać za „administratora” odpowiedzialnego za przetwarzanie danych w rozumieniu tego art. 2 lit. d).

 W przedmiocie pytania pierwszego lit. a)–d), dotyczącego terytorialnego zakresu zastosowania dyrektywy 95/46

42      Zadając pytanie pierwsze lit. a)–d), sąd odsyłający chce ustalić, czy w okolicznościach takich jak te rozpatrywane w postępowaniu głównym istnieje możliwość zastosowania przepisów krajowych dokonujących transpozycji dyrektywy 95/46.

43      W tym kontekście sąd ten poczynił następujące ustalenia faktyczne:

–        Google Search stanowi usługę oferowaną na poziomie światowym za pośrednictwem strony internetowej www.google.com. W szeregu państw istnieją jej lokalne wersje dostosowane do cech charakterystycznych języków narodowych. Hiszpańska wersja tej usługi jest oferowana za pośrednictwem strony www.google.es, zarejestrowanej od dnia 16 września 2003 r. Google Search jest jedną z najpopularniejszych w Hiszpanii wyszukiwarek internetowych.

–        Operatorem Google Search jest Google Inc., spółka dominująca grupy Google, z siedzibą w Stanach Zjednoczonych.

–        Google Search indeksuje strony internetowe na całym świecie, w tym również strony hiszpańskie. Informacje indeksowane przez tzw. pająki czy roboty internetowe, czyli oprogramowanie wykorzystywane do zautomatyzowanego i systematycznego przeglądania i systematyzowania treści stron internetowych, są czasowo przechowywane na serwerach, których państwo lokalizacji nie jest znane, gdyż informacja ta jest utrzymywana w tajemnicy ze względów związanych z konkurencyjnością.

–        Google Search nie ogranicza się do udostępniania treści znajdujących się na indeksowanych stronach internetowych, lecz korzysta z tej działalności w celu odpłatnego umieszczania powiązanych z wprowadzanymi przez internautów tematami wyszukiwania reklam przedsiębiorstw chcących wykorzystać to narzędzie do zaoferowania sprzedawanych przez nie towarów lub usług.

–        Grupa Google prowadzi poprzez swą spółkę zależną Google Spain promocję sprzedaży przestrzeni reklamowych stwarzanej na stronie www.google.com. Założona w dniu 3 września 2003 r. spółka Google Spain z siedzibą w Madrycie (Hiszpania) cieszy się odrębną osobowością prawną. Prowadzona przez nią działalność jest przede wszystkim kierowana do przedsiębiorstw znajdujących się w Hiszpanii; spółka ta pełni w ramach grupy rolę agenta handlowego tej grupy w tym państwie członkowskim. Jej statutowy cel polega na promocji, ułatwianiu i prowadzeniu sprzedaży osobom trzecim produktów i usług związanych z reklamą w sieci oraz marketingu tych produktów i usług reklamowych.

–        Google Inc. powierzyła Google Spain sprawowanie w Hiszpanii funkcji administratora danych odpowiedzialnego za przetwarzanie dwóch zarejestrowanych przez Google Inc. w AEPD zbiorów mających zawierać dane osobowe klientów, którzy zawarli z Google Inc. umowę w przedmiocie usług reklamowych.

44      Bardziej konkretnie rzecz ujmując, sąd odsyłający zastanawia się przede wszystkim nad pojęciem „działalności gospodarczej” w rozumieniu art. 4 ust. 1 lit. a) dyrektywy 95/46 oraz nad użytym w art. 4 ust. 1 lit. c) tej dyrektywy pojęciem „wykorzystania środków znajdujących się na terytorium wymienionego państwa członkowskiego”.

 W przedmiocie pytania pierwszego lit. a)

45      Zadając pytanie pierwsze lit. a), sąd odsyłający zastanawia się w istocie, czy art. 4 ust. 1 lit. a) dyrektywy 95/46 należy interpretować w ten sposób, że przetwarzanie danych osobowych ma miejsce w ramach działalności gospodarczej prowadzonej przez administratora danych odpowiedzialnego za to przetwarzanie na terytorium danego państwa członkowskiego w rozumieniu tego przepisu, gdy spełniono jeden lub kilka z następujących trzech warunków:

–        operator wyszukiwarki internetowej ustanawia w danym państwie członkowskim oddział lub spółkę zależną, których celem jest promocja i sprzedaż powierzchni reklamowych w wyszukiwarce, której działalność jest skierowana do osób zamieszkujących to państwo, lub

–        spółka dominująca wyznacza spółkę zależną znajdującą się w tym państwie członkowskim jako swojego przedstawiciela i jednocześnie jako administratora danych odpowiedzialnego za przetwarzanie dwóch określonych zbiorów zawierających dane klientów, którzy zamówili usługi reklamowe w rzeczonym przedsiębiorstwie, lub

–        oddział lub spółka zależna ustanowione w danym państwie członkowskim przekazują swojej spółce dominującej znajdującej się poza Unią wnioski i żądania kierowane do niej zarówno przez osoby, których dane dotyczą, jak i przez właściwe organy w związku z przestrzeganiem prawa do ochrony danych osobowych, nawet jeśli taka współpraca jest dobrowolna.

46      W odniesieniu do pierwszego z tych trzech warunków sąd odsyłający podnosi, że Google Inc. jest operatorem Google Search i podmiotem nią zarządzającym oraz że nie zostało wykazane, iż Google Spain prowadzi w Hiszpanii działalność bezpośrednio powiązaną z indeksacją czy też z przechowywaniem informacji lub danych umieszczonych na stronach internetowych osób trzecich. Jednak prowadzona przez Google Spain w Hiszpanii działalność polegająca na promocji i sprzedaży przestrzeni reklamowych stanowi zasadniczą część prowadzonej przez grupę Google działalności komercyjnej i można ją uznać za ściśle związaną z Google Search.

47      Mario Costeja González, rządy, hiszpański, włoski, austriacki i polski oraz Komisja stoją na stanowisku, że ze względu na nierozerwalny związek, jaki istnieje pomiędzy działalnością wyszukiwarki internetowej, której operatorem jest Google Inc., a działalnością prowadzoną przez Google Spain, należy uznać tę drugą spółkę za prowadzoną przez tę pierwszą działalność gospodarczą, w ramach której to działalności dokonywane jest przetwarzanie danych osobowych. Natomiast zdaniem Google Spain, Google Inc. i rządu greckiego art. 4 ust. 1 lit. a) dyrektywy 95/46 nie ma zastosowania w przypadku pierwszego ze wskazanych przez sąd odsyłający warunków.

48      W tym względzie należy przede wszystkim podnieść, że w motywie 19 dyrektywy 95/46 wyjaśnione zostało, iż „[p]rowadzenie działalności gospodarczej na terytorium państwa członkowskiego zakłada efektywne i rzeczywiste prowadzenie działań poprzez stabilne rozwiązania”, a „forma prawna prowadzonej działalności gospodarczej, niezależnie czy jest to oddział lub filia [spółka zależna] posiadająca osobowość prawną, nie jest w tym względzie czynnikiem decydującym”.

49      Strony są zaś zgodne co do tego, że Google Spain rzeczywiście zajmuje się prowadzeniem w Hiszpanii działalności gospodarczej za pomocą „stabilnego rozwiązania”. Ze względu na to, że Google Spain posiada odrębną osobowość prawną, stanowi ona spółkę zależną Google Inc. na terytorium hiszpańskim, i co za tym idzie, „działalność gospodarczą” w rozumieniu art. 4 ust. 1 lit. a) dyrektywy 95/46.

50      Do spełnienia zawartego w tym przepisie kryterium konieczne jest jeszcze, aby przetwarzanie danych osobowych przez ich administratora „odbywa[ło] się w kontekście prowadzenia przez administratora danych działalności gospodarczej na terytorium państwa członkowskiego”.

51      Google Spain i Google Inc. kwestionują to, iż warunek ten został spełniony w niniejszym przypadku, gdyż będące przedmiotem postępowania głównego przetwarzanie danych osobowych dokonywane jest wyłącznie przez Google Inc., która jest zupełnie niezależnym od Google Spain operatorem Google Search, a działalność Google Spain ogranicza się do świadczenia wsparcia działalności reklamowej grupy Google, która to działalność nie jest tożsama z usługą związaną z wyszukiwarką internetową.

52      Jednak jak podkreślają w szczególności rząd hiszpański i Komisja, w art. 4 ust. 1 lit. a) dyrektywy 95/46 nie ustanowiono wymogu, aby przetwarzanie danych osobowych było dokonywane „przez” podmiot prowadzący działalność gospodarczą, lecz jedynie „w kontekście prowadzenia przez” niego działalności gospodarczej.

53      Ponadto, biorąc pod uwagę cel dyrektywy 95/46 polegający na zapewnieniu ochrony podstawowych praw i wolności osób fizycznych, w szczególności ich prawa do prywatności w zakresie przetwarzania danych osobowych, w odniesieniu do tego wyrażenia nie można przyjmować wykładni zawężającej (zob. analogiczne wyrok L’Oréal i in., C‑324/09, EU:C:2011:474, pkt 62, 63).

54      W tym kontekście należy podnieść, że w szczególności z motywów 18–20 i z art. 4 dyrektywy 95/46 wynika, iż celem prawodawcy unijnego było niedopuszczenie do pozbawienia jednostek ochrony, do której mają one prawo na mocy tej dyrektywy, i dlatego przewidział on w przypadku tejże ochrony szczególnie szeroki terytorialny zakres jej zastosowania.

55      Uwzględniając ten cel dyrektywy 95/46 oraz brzmienie jej art. 4 ust. 1 lit. a), należy stwierdzić, że przetwarzanie danych osobowych dla potrzeb funkcjonowania wyszukiwarki internetowej takiej jak Google Search – której operatorem jest mające siedzibę w państwie trzecim przedsiębiorstwo dysponujące w państwie członkowskim działalnością gospodarczą – jest dokonywane „w kontekście prowadzenia działalności gospodarczej”, jeśli ma ona na celu zapewnienie w tym państwie członkowskim promocji i sprzedaży powierzchni reklamowych przez wyszukiwarkę, co zapewnia rentowność oferowanej przez tę wyszukiwarkę usługi.

56      W takich okolicznościach działalność prowadzona przez operatora wyszukiwarki oraz działalność jego zakładu na terenie danego państwa członkowskiego są bowiem ze sobą nierozerwalnie powiązane, gdyż działalność związana z powierzchniami reklamowymi stanowi środek służący uczynieniu rozpatrywanej wyszukiwarki internetowej opłacalną pod względem gospodarczym, a wyszukiwarka ta stanowi jednocześnie środek umożliwiający prowadzenie tej działalności.

57      W tym względzie należy przypomnieć, że jak zostało wyjaśnione w pkt 26–28 niniejszego wyroku, przetwarzaniem danych osobowych jest samo już ich wyświetlanie na stronie zawierającej listę wyników wyszukiwania. Ze względu zaś na to, że razem z tymi wynikami wyświetlane są powiązane z tematami wyszukiwania reklamy, należy stwierdzić, iż rozpatrywane przetwarzanie danych osobowych jest dokonywane w ramach komercyjnych działań reklamowych dokonywanych w ramach prowadzenia przez administratora danych działalności gospodarczej na terytorium państwa członkowskiego – w niniejszym przypadku na terytorium hiszpańskim.

58      W tych okolicznościach nie można zgodzić się z tym, aby przetwarzanie danych osobowych na potrzeby funkcjonowania tej wyszukiwarki nie podlegało przewidzianym w dyrektywie 95/46 obowiązkom i gwarancjom, co zagrażałoby z kolei skuteczności tego aktu oraz realizowanemu przezeń celowi w postaci zapewnienia ochrony podstawowych praw i wolności osób fizycznych (zob. analogicznie wyrok L’Oréal i in., EU:C:2011:474, pkt 62, 63), a w szczególności prawa do poszanowania ich prywatności w zakresie przetwarzania danych osobowych, któremu to prawu owa dyrektywa nadaje szczególną wagę, jak potwierdzają to w szczególności jej art. 1 ust. 1 oraz motywy 2 i 10 (zob. podobnie wyroki: Österreichischer Rundfunk i in., C‑465/00, C‑138/01 i C‑139/01, EU:C:2003:294, pkt 70; Rijkeboer, C‑553/07, EU:C:2009:293, pkt 47; a także IPI, C‑473/12, EU:C:2013:715, pkt 28 i przytoczone tam orzecznictwo).

59      Ze względu na to, że już tylko jeden z trzech wyliczonych przez sąd odsyłający warunków sam w sobie wystarczy, aby móc na tej podstawie wyciągnąć wniosek, iż Google Spain spełnia kryterium ustanowione w art. 4 ust. 1 lit. a) dyrektywy 95/46, nie ma potrzeby badania pozostałych dwóch warunków.

60      Z powyższego wynika, że na pytanie pierwsze lit. a) należy udzielić odpowiedzi, iż art. 4 ust. 1 lit. a) dyrektywy 95/46 należy interpretować w ten sposób, że przetwarzanie danych osobowych ma miejsce w ramach działalności gospodarczej prowadzonej przez zakład administratora danych odpowiedzialnego za to przetwarzanie na terytorium danego państwa członkowskiego w rozumieniu tego przepisu, jeśli operator wyszukiwarki internetowej ustanawia w danym państwie członkowskim oddział lub spółkę zależną, których celem jest promocja i sprzedaż powierzchni reklamowych oferowanych za pośrednictwem tej wyszukiwarki, a działalność tego oddziału lub tej spółki zależnej jest skierowana do osób zamieszkujących to państwo.

 W przedmiocie pytania pierwszego lit. b)–d)

61      W świetle odpowiedzi udzielonej na pytanie pierwsze lit. a) nie ma potrzeby udzielania odpowiedzi na pytanie pierwsze lit. b)–d).

 W przedmiocie pytania drugiego lit. c) i d), dotyczącego zakresu odpowiedzialności, jaką nakłada na operatora wyszukiwarki internetowej dyrektywa 95/46

62      Zadając pytanie drugie lit. c) i d), sąd odsyłający podnosi w istocie kwestię tego, czy art. 12 lit. b) oraz art. 14 akapit pierwszy lit. a) dyrektywy 95/46 należy interpretować w ten sposób, że ustanowione w tych przepisach normy są przestrzegane wówczas, gdy operator wyszukiwarki internetowej jest zobowiązany do usunięcia z wyświetlanej listy wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko danej osoby linków do publikowanych przez osoby trzecie stron internetowych zawierających dotyczące tej osoby informacje, również w przypadku gdy to imię czy nazwisko czy te informacje nie zostały uprzednio czy jednocześnie usunięte z tych stron internetowych i, w odpowiednim przypadku, nawet jeśli ich publikacja na tych stronach jest zgodna z prawem.

63      Google Spain i Google Inc. są zdania, że zgodnie z zasadą proporcjonalności wszelkie żądania w przedmiocie usunięcia informacji winny być kierowane do wydawcy danej strony internetowej, gdyż to on, przyjmując odpowiedzialność za ich upublicznienie, jest w stanie ocenić zgodność z prawem ich publikacji oraz może, za pomocą bardziej skutecznych i mniej restrykcyjnych środków, odebrać dostęp do tych informacji. Ponadto nałożenie na operatora wyszukiwarki internetowej obowiązku usunięcia z jego indeksów informacji opublikowanych w Internecie w niewystarczającym stopniu uwzględnia prawa podstawowe wydawców stron internetowych, pozostałych internautów oraz samego operatora.

64      Zdaniem rządu austriackiego krajowy organ nadzorczy może nakazać takiemu operatorowi usunięcie z jego zbiorów danych informacji opublikowanych przez osoby trzecie jedynie wówczas, gdy uprzednio stwierdzono niezgodność rozpatrywanych danych z prawem lub z prawdą lub też gdy osoba, której te dane dotyczą, wniosła przeciwko wydawcy strony internetowej, na której te informacje zostały opublikowane, uwzględniony sprzeciw.

65      Mario Costeja González, rządy hiszpański, włoski i polski oraz Komisja stoją na stanowisku, że taki organ krajowy może bezpośrednio nakazać operatorowi wyszukiwarki usunięcie z jego indeksów i podręcznej pamięci buforowej opublikowanych przez osoby trzecie informacji zawierających dane osobowe, bez uprzedniego lub jednoczesnego zwrócenia się z takim żądaniem do wydawcy strony internetowej, na której zamieszczone zostały te informacje. Ponadto zadaniem M. Costejy Gonzáleza, rządów hiszpańskiego i włoskiego oraz Komisji okoliczność, że informacje te zostały opublikowane zgodnie z prawem i że znajdują się one nadal na stronie internetowej, na której zostały pierwotnie opublikowane, pozostaje bez wpływu na obowiązki ciążące na tym operatorze na mocy dyrektywy 95/46. Zdaniem rządu polskiego natomiast okoliczność ta może zwalniać tego operatora z tego obowiązku.

66      Na wstępie należy przypomnieć, że jak wynika z art. 1 i z motywu 10 dyrektywy 95/46, jej celem jest zapewnienie wysokiego poziomu ochrony podstawowych praw i wolności, a szczególnie prawa do prywatności w zakresie przetwarzania danych osobowych (zob. podobnie wyrok IPI, EU:C:2013:715, pkt 28).

67      Zgodnie z motywem 25 dyrektywy 95/46 zasady tej ochrony muszą znajdować odzwierciedlenie z jednej strony w obowiązkach nałożonych na podmioty przetwarzające dane, zwłaszcza w zakresie dotyczącym jakości tych danych, bezpieczeństwa technicznego, zawiadamiania organu nadzorczego oraz okoliczności, w których może odbywać się przetwarzanie danych, jak również z drugiej strony w prawie osób, których dane są przedmiotem przetwarzania, do uzyskania informacji, że takie przetwarzanie danych ma miejsce, do konsultowania danych, żądania poprawek lub nawet, w niektórych przypadkach, sprzeciwu wobec przetwarzania danych.

68      Trybunał rozstrzygnął już, że wykładnia przepisów dyrektywy 95/46 w zakresie, w jakim regulują one kwestię przetwarzania danych osobowych mogących naruszyć podstawowe wolności, a w szczególności prawo do prywatności, musi być bezwzględnie dokonywana z punktu widzenia praw podstawowych, które zgodnie z utrwalonym orzecznictwem stanowią część składową ogólnych zasad prawnych, których przestrzeganie zapewnia Trybunał i które zostały zawarte w karcie (zob. w szczególności wyroki: Connolly/Komisja, C‑274/99 P, EU:C:2001:127, pkt 37; a także Österreichischer Rundfunk i in., EU:C:2003:294, pkt 68).

69      I tak, art. 7 karty gwarantuje prawo do poszanowania życia prywatnego, natomiast jej art. 8 wyraźnie ustanawia prawo do ochrony danych osobowych. W art. 8 ust. 2 i 3 wyjaśnione zostało, że dane te muszą być przetwarzane rzetelnie, w określonych celach i za zgodą osoby zainteresowanej lub na innej uzasadnionej podstawie przewidzianej ustawą, a każdy ma prawo do dostępu do zebranych danych, które go dotyczą, i prawo do dokonania sprostowania tych danych; przestrzeganie tych zasad podlega zaś kontroli niezależnego organu. Wymogi te są wprowadzane w życie szczególnie poprzez art. 6, 7, 12, 14 i 28 dyrektywy 95/46.

70      Artykuł 12 lit. b) dyrektywy 95/46 stanowi natomiast, że państwa członkowskie zapewniają każdej osobie, której dane dotyczą, prawo do uzyskania od administratora danych, odpowiednio do przypadku, sprostowania, usunięcia lub zablokowania danych, których przetwarzanie jest niezgodne z przepisami tej dyrektywy, szczególnie ze względu na niekompletność lub niedokładność danych. To ostatnie wyjaśnienie dotyczące przypadków nieprzestrzegania pewnych określonych w art. 6 ust. 1 lit. d) dyrektywy 95/46 wymogów ma przykładowy i niewyczerpujący charakter, z czego wynika, że niezgodność przetwarzania danych, na podstawie której osoba, której te dane dotyczą, może powołać się na prawa przysługujące jej na podstawie art. 12 lit. b) tej dyrektywy, może również wynikać z faktu nieprzestrzegania innych wymogów, które zgodnie z dyrektywą 95/46 musi spełniać przetwarzanie danych osobowych, aby było ono dokonywane zgodnie z prawem.

71      W tym względzie należy przypomnieć, że z zastrzeżeniem dozwolonych na mocy art. 13 dyrektywy 95/46 odstępstw każda operacja przetwarzania danych osobowych musi być zgodna z jednej strony z wyrażonymi w art. 6 tej dyrektywy zasadami odnoszącymi się do charakteru danych, a z drugiej strony – z jednym z kryteriów legalności przetwarzania danych, wymienionych w art. 7 tej dyrektywy (zob. wyroki: Österreichischer Rundfunk i in., EU:C:2003:294, pkt 65; ASNEF i FECEMD, C‑468/10 i C‑469/10, EU:C:2011:777, pkt 26; a także Worten, C‑342/12, EU:C:2013:355, pkt 33).

72      Zgodnie z brzmieniem tego art. 6 i z zastrzeżeniem przepisów szczególnych, które państwa członkowskie mogą ustanowić w odniesieniu do przetwarzania danych w celach historycznych, statystycznych lub naukowych, administrator danych musi zapewnić, że dane osobowe są „przetwarzane rzetelnie i legalnie”, że są one „gromadzone do konkretnych, bezpośrednich i zgodnych z prawem celów i nieprzetwarzane dalej w sposób niezgodny z tymi celami”, że są „prawidłowe [właściwe], stosowne oraz nienadmierne w stosunku do celów, dla których są gromadzone i/lub przetwarzane dalej”, „prawidłowe oraz, w razie konieczności, aktualizowane”, oraz wreszcie, że są one „przetrzymywane [przechowywane] w formie, która pozwala na zidentyfikowanie podmiotów danych przez czas nie dłuższy niż jest to konieczne do celów, dla których dane były gromadzone lub dla których są przetwarzane dalej”. W tym kontekście ów administrator danych musi podjąć wszelkie racjonalne działania konieczne do tego, aby zapewnić usunięcie lub poprawienie danych niespełniających określonych w tym przepisie wymogów.

73      Jeśli chodzi o wynikającą z art. 7 dyrektywy 95/46 legalność przetwarzania danych, takiego jak rozpatrywane w postępowaniu głównym przetwarzanie danych przez operatora wyszukiwarki internetowej, operator ten może powołać się na przypadek określony w art. 7 lit. f) tej dyrektywy.

74      Przepis ten zezwala na przetwarzanie danych osobowych, w przypadku gdy jest to konieczne do realizacji uzasadnionych interesów administratora danych lub osoby trzeciej czy też osób trzecich, którym dane są ujawniane, pod warunkiem że interesy takie nie są podporządkowane interesom i prawom podstawowym osoby, której dane dotyczą – zwłaszcza zaś prawu do ochrony prywatności w zakresie przetwarzania danych osobowych – a których ochrona została zagwarantowana w art. 1 ust. 1 tej dyrektywy. Zastosowanie omawianego art. 7 lit. f) wymaga zatem dokonania wyważenia przeciwstawnych sobie praw i interesów, w ramach którego należy uwzględnić wynikające z art. 7 i 8 karty znaczenie praw osoby, której dotyczą dane (zob. wyrok ASNEF i FECEMD, EU:C:2011:777, pkt 38, 40).

75      Choć zgodność przetwarzania danych z art. 6 i 7 lit. f) dyrektywy 95/46 może zostać sprawdzona w ramach rozpatrywania wniosku złożonego na podstawie art. 12 lit. b) tej dyrektywy, to osoba, której dane te dotyczą, może ponadto powołać się na pewne przesłanki przewidzianego w art. 14 akapit pierwszy lit. a) tej dyrektywy prawa do wniesienia sprzeciwu.

76      Zgodnie z tym art. 14 akapit pierwszy lit. a) państwa członkowskie przyznają osobie, której dane dotyczą, przynajmniej w przypadkach wymienionych w art. 7 lit. e) i f) dyrektywy 95/46, w dowolnym czasie, z ważnych i uzasadnionych przyczyn wynikających z jej konkretnej sytuacji, prawo sprzeciwu wobec przetwarzania dotyczących jej danych, z zastrzeżeniem odmiennych postanowień ustawodawstwa krajowego. Wyważenie praw i interesów, którego należy dokonać w ramach zastosowania art. 14 akapit pierwszy lit. a), umożliwia więc bardziej szczegółowe uwzględnienie wszystkich okoliczności konkretnej sytuacji osoby, której dane dotyczą. W przypadku uzasadnionego sprzeciwu przetwarzanie danych przez ich administratora nie może już obejmować tych danych.

77      Wnioski, o których mowa w art. 12 lit. b) i art. 14 akapit pierwszy lit. a) dyrektywy 95/46, mogą być kierowane bezpośrednio przez osobę, której dane dotyczą, do ich administratora, który winien następnie należycie zbadać ich zasadność i, w odpowiednim przypadku, zaprzestać przetwarzania danych będących przedmiotem złożonego doń wniosku. W przypadku gdy administrator danych nie nada dalszego biegu złożonym doń wnioskom, osoba, której dotyczą dane, może zwrócić się do organu nadzorczego czy też sądowniczego, aby organ ów przeprowadził konieczną kontrolę i odpowiednio nakazał temu operatorowi przyjęcie konkretnych środków.

78      W tym względzie należy podnieść, że z art. 28 ust. 3 i 4 dyrektywy 95/46 wynika, iż każdy organ nadzorczy rozpatruje zgłaszane przez dowolną osobę skargi w przedmiocie ochrony jej praw i wolności w zakresie przetwarzania danych osobowych oraz iż organ ten posiada uprawnienia dochodzeniowe i skuteczne uprawnienia interwencyjne umożliwiające mu w szczególności zarządzenie blokady, usunięcia lub zniszczenia danych czy też nakładania czasowego lub ostatecznego zakazu przetwarzania danych.

79      Przepisy dyrektywy 95/46 regulujące kwestię praw osoby, której dane dotyczą, w sytuacji gdy złoży ona do organu nadzorczego czy też sądowniczego wniosek taki jak ten rozpatrywany w postępowaniu głównym, należy interpretować i stosować, biorąc pod uwagę właśnie powyższe względy.

80      W tej kwestii należy przede wszystkim podnieść, że jak zostało stwierdzone w pkt 36–38 niniejszego wyroku, przetwarzanie danych osobowych dokonywane przez operatora wyszukiwarki internetowej, takie jak to rozpatrywane w postępowaniu głównym, może znacząco oddziaływać na prawa podstawowe do poszanowania prywatności i ochrony danych osobowych w sytuacji, gdy przeszukiwanie zasobów internetowych za pomocą tej wyszukiwarki jest prowadzone z punktu wyjścia będącego imieniem i nazwiskiem osoby fizycznej – jeśli przetwarzanie to umożliwia wszystkim internautom otrzymanie mającego postać listy wyników wyszukiwania ustrukturyzowanego przeglądu dotyczących tej osoby informacji, jakie można znaleźć w Internecie, dotyczących potencjalnie całego szeregu aspektów jej życia prywatnego i które to informacje, gdyby nie ta wyszukiwarka, nie mogłyby zostać ze sobą powiązane lub też byłoby to bardzo utrudnione, efektem czego niemożliwe lub bardzo utrudnione byłoby sporządzenie mniej lub bardziej szczegółowego profilu danej osoby. Ponadto skutki tej ingerencji w prawa osoby, której dane dotyczą, zostają zwielokrotnione ze względu na istotną rolę, jaką odgrywają Internet i wyszukiwarki internetowe we współczesnym społeczeństwie, nadając zawartej na takiej liście informacji wszechobecny charakter (zob. podobnie wyrok eDate Advertising i in., C‑509/09 i C‑161/10, EU:C:2011:685, pkt 45).

81      Biorąc pod uwagę potencjalną wagę tej ingerencji, stwierdzić należy, że nie może być ona uzasadniona jedynie interesem, jaki ma w tym przetwarzaniu danych operator wyszukiwarki internetowej. Jednak ze względu na to, że usunięcie linków z listy wyników może, w zależności od rodzaju wyszukiwanej informacji, oddziaływać na uzasadniony interes potencjalnie zainteresowanych uzyskaniem dostępu do tej informacji internautów, w sytuacjach takich jak ta rozpatrywana w postępowaniu głównym należy dążyć do znalezienia punktu równowagi pomiędzy tym interesem a prawami podstawowymi, które przysługują tej osobie na podstawie art. 7 i 8 karty. Choć niewątpliwie chronione na mocy tych postanowień prawa osoby, której dotyczą dane, są również co do zasady nadrzędne wobec tego interesu internautów, to jednak równowaga ta może, w szczególnych przypadkach, zależeć od charakteru rozpatrywanych informacji i od tego, jak istotne są one dla prywatności osoby, której dane dotyczą, oraz dla publicznego interesu w dysponowaniu tą informacją, który to z kolei interes może być uzależniony w szczególności od roli odgrywanej przez tę osobę w życiu publicznym.

82      Po przeprowadzeniu analizy przesłanek zastosowania art. 12 lit. b) oraz art. 14 akapit pierwszy lit. a) dyrektywy 95/46, której to analizy należy dokonać w sytuacji, gdy do organu nadzorczego czy też sądowniczego złożony zostanie wniosek taki jak ten rozpatrywany w postępowaniu głównym, organ ów może nakazać rzeczonemu operatorowi usunięcie z wyświetlanej listy wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko danej osoby linków do publikowanych przez osoby trzecie stron internetowych zawierających dotyczące tej osoby informacje, a zawarty w wydanym przez ten organ rozstrzygnięciu nakaz nie musi obejmować uprzedniego czy też jednoczesnego usunięcia – dobrowolnie przez wydawcę strony czy też wskutek skierowanego przez jeden z tych organów nakazu – tego imienia i nazwiska oraz tych informacji ze strony internetowej, na której zostały one opublikowane.

83      Jak bowiem stwierdzone zostało w pkt 35–38 niniejszego wyroku, ze względu na to, że przetwarzanie danych osobowych, które ma miejsce w ramach działania wyszukiwarki, różni się od tego dokonywanego przez wydawców stron internetowych i ma dodatkowy względem niego charakter oraz znacząco oddziałuje na prawa podstawowe osoby, której dane dotyczą, w dodatkowy w stosunku do działalności prowadzonej przez wydawców stron internetowych sposób, operator tej wyszukiwarki winien w ramach spoczywającej na nim odpowiedzialności, przysługujących mu uprawnień i posiadanych możliwości zapewnić, iż działalność ta spełnia określone w dyrektywie 95/46 wymogi, tak aby przewidziane w niej gwarancje były w pełni skuteczne.

84      W tym względzie należ podnieść, że biorąc pod uwagę łatwość, z jaką informacje opublikowane na stronie internetowej mogą zostać skopiowane na innych stronach, oraz okoliczność, że podmioty odpowiedzialne za ich publikację nie zawsze podlegają przepisom prawa Unii, cel polegający na skutecznej i pełnej ochronie osób, których dotyczą dane, nie mógłby być zrealizowany bez uprzedniego czy też jednoczesnego uzyskania usunięcia tych dotyczących ich informacji przez wydawców stron internetowych.

85      Ponadto przetwarzanie danych przez wydawcę strony internetowej, polegające na opublikowaniu informacji dotyczących osoby fizycznej, może w odpowiednim przypadku być dokonywane „wyłącznie w celach dziennikarskich”, wchodząc w ten sposób zgodnie z art. 9 dyrektywy 95/46 w zakres zastosowania odstępstw od ustanowionych w tej dyrektywie wymogów, podczas gdy nie można uznać, że ma to miejsce w przypadku przetwarzania danych przez operatora wyszukiwarki internetowej. Nie można więc wykluczyć, że osoba, której dotyczą dane, może w pewnych okolicznościach korzystać z praw, o których mowa w art. 12 lit. b) oraz w art. 14 akapit pierwszy lit. a) dyrektywy 95/46 w odniesieniu do operatora wyszukiwarki, ale nie mogłaby ona powoływać się na nie wobec wydawcy strony internetowej.

86      Wreszcie należy stwierdzić, że nie tylko względy uzasadniające na gruncie art. 7 dyrektywy 95/46 publikację danych osobowych na stronie internetowej nie muszą wcale pokrywać się z tymi mającymi zastosowanie do działalności wyszukiwarek internetowych, lecz również, że nawet jeśli sytuacja taka zachodzi, to efekt wyważenia wchodzących w grę interesów, jakiego należy dokonać zgodnie z art. 7 lit. f) oraz z art. 14 akapit pierwszy lit. a) tej dyrektywy, może być różny w zależności od tego, czy w grę będzie wchodzić przetwarzanie dokonywane przez operatora wyszukiwarki internetowej, czy też to dokonywane przez wydawcę tej strony internetowej, gdyż, po pierwsze, słuszne interesy uzasadniające to przetwarzanie mogą różnić się między sobą, i po drugie, przetwarzanie to nie zawsze musi mieć w obu przypadkach dla osoby, której dane dotyczą, a zwłaszcza dla jej prywatności, takie same skutki.

87      Ze względu na to bowiem, że zawarcie na liście wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko danej osoby linków do strony internetowej oraz zawartych na niej i dotyczącej tej osoby informacji znacznie zwiększa dostępność tych informacji dla wszystkich internautów dokonujących wyszukiwania w przedmiocie danej osoby i może odegrać decydującą rolę w rozpowszechnieniu tych informacji, może ono stanowić ingerencję w prawo podstawowe do poszanowania prywatności osoby, której dane dotyczą, bardziej znaczącą niż ta wynikająca z publikacji przez wydawcę strony internetowej.

88      W świetle całości powyższych rozważań na pytanie drugie lit. c) i d) należy udzielić odpowiedzi, iż art. 12 lit. b) oraz art. 14 akapit pierwszy lit. a) dyrektywy 95/46 należy interpretować w ten sposób, że ustanowione w tych przepisach normy są przestrzegane, a przewidziane w nich warunki rzeczywiście spełnione wówczas, gdy operator wyszukiwarki internetowej jest zobowiązany do usunięcia z wyświetlanej listy wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko danej osoby linków do publikowanych przez osoby trzecie stron internetowych zawierających dotyczące tej osoby informacje, również w przypadku gdy to imię czy nazwisko czy te informacje nie zostały uprzednio czy jednocześnie usunięte z tych stron internetowych i, w odpowiednim przypadku, nawet jeśli ich publikacja na tych stronach jest zgodna z prawem.

 W przedmiocie pytania trzeciego, dotyczącego zakresu zagwarantowanych przez dyrektywę 95/46 praw osoby, której dotyczą dane

89      Zadając pytanie trzecie, sąd odsyłający zastanawia się w istocie, czy art. 12 lit. b) i art. 14 akapit pierwszy lit. a) dyrektywy 95/46 należy interpretować w ten sposób, że umożliwiają one osobie, której dotyczą dane, zażądanie od operatora wyszukiwarki internetowej usunięcia z wyświetlanej listy wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko tej osoby linków do opublikowanych zgodnie z prawem przez osoby trzecie stron internetowych zawierających zgodne z prawdą informacje dotyczące tej osoby, ze względu na to, że informacje te mogą wyrządzić tej osobie szkodę czy też że życzy ona sobie, aby zostały one po pewnym czasie „zapomniane”.

90      Google Spain, Google Inc., rządy grecki, austriacki i polski oraz Komisja są zdania, że na to pytanie należy udzielić odpowiedzi przeczącej. Google Spain, Google Inc., rząd polski i Komisja podnoszą w tym względzie, iż art. 12 lit. b) i art. 14 akapit pierwszy lit. a) dyrektywy 95/46 przyznają prawa osobom, których dotyczą dane, jedynie pod warunkiem, że rozpatrywane przetwarzanie jest niezgodne z tą dyrektywą, czy też z ważnych i uzasadnionych przyczyn wynikających z konkretnej sytuacji tych osób, a nie z tego tylko powodu, że uważają one, iż przetwarzanie może wyrządzić im szkodę, czy też że życzą sobie, aby będące przedmiotem przetwarzania dane zostały zapomniane. Rządy grecki i austriacki są zdania, że osoba, której dotyczą dane, winna zwrócić się do wydawcy danej strony internetowej.

91      Mario Costeja González oraz rządy hiszpański i włoski są zdania, że osoba, której dotyczą dane, może sprzeciwić się indeksowaniu dotyczących jej danych przez wyszukiwarkę internetową, jeśli rozpowszechnianie tych danych za pośrednictwem wyszukiwarki wyrządza tej osobie szkodę, a jej prawa podstawowe do ochrony tych danych i poszanowania prywatności, które obejmują również „prawo do bycia zapomnianym”, są nadrzędne wobec uzasadnionych interesów operatora tej wyszukiwarki oraz wobec związanego z wolnością informacji interesu ogólnego.

92      W zakresie dotyczącym art. 12 lit. b) dyrektywy 95/46, który to przepis może być stosowany pod warunkiem, że przetwarzanie danych osobowych jest niezgodne z tą dyrektywą, należy przypomnieć, że jak zostało podniesione w pkt 72 niniejszego wyroku, taka niezgodność może wynikać nie tylko z tego, iż dane te są nieprawdziwe, lecz w szczególności również z faktu, iż są one niewłaściwe, niestosowne czy też nadmierne w stosunku do celów, dla których są przetwarzane, iż nie są one zaktualizowane czy też są przechowywane przez czas dłuższy niż jest to konieczne – z wyjątkiem przypadków, w których ich przechowywanie jest konieczne w celach historycznych, statystycznych czy też naukowych.

93      Z tych przewidzianych w art. 6 ust. 1 lit. c)–e) dyrektywy 95/46 wymogów wynika, że nawet początkowo zgodne z prawem przetwarzanie prawidłowych danych może wraz z upływem czasu stać się niezgodne z tą dyrektywą, jeśli dane te nie są już potrzebne do realizacji celów, ze względu na które były gromadzone i przetwarzane. Ma to miejsce w szczególności wówczas, gdy należy uznać je za niewłaściwe, (już) niestosowne czy też nadmierne w stosunku do celów, w jakich są one przetwarzane, czy też ze względu na upływ czasu.

94      Zatem w przypadku gdy wskutek wniosku złożonego przez osobę, której dotyczą dane, na podstawie art. 12 lit. b) dyrektywy 95/46, stwierdzone zostanie, że zawarcie na wyświetlanej liście wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko tej osoby linków do opublikowanych zgodnie z prawem przez osoby trzecie stron internetowych zawierających zgodne z prawdą informacje dotyczące tej osoby jest w aktualnym stanie rzeczy niezgodne z tym art. 6 ust. 1 lit. c)–e) ze względu na to, że informacje te należy w świetle całokształtu okoliczności danego przypadku uznać za niewłaściwe, (już) niestosowne czy też nadmierne w stosunku do celów, w jakich są one przetwarzane przez operatora wyszukiwarki internetowej, informacje te i prowadzące do nich linki należy usunąć z tej listy wyników wyszukiwania.

95      W zakresie dotyczącym wniosków, o których mowa w tym art. 12 lit. b), złożonych na podstawie podnoszonego niespełnienia ustanowionych w art. 7 lit. f) dyrektywy 95/46 warunków, oraz wniosków, o których mowa w art. 14 akapit pierwszy lit. a) tej dyrektywy, należy podnieść, że jakiekolwiek przetwarzanie danych osobowych musi być na podstawie tego art. 7 zgodne z prawem przez cały czas, w jakim jest dokonywane.

96      Uwzględniając powyższe, w ramach oceny wniosków złożonych w przedmiocie przetwarzania danych takiego jak to rozpatrywane w postępowaniu głównym należy w szczególności przeanalizować, czy osoba, której dotyczą dane, ma prawo domagać się, aby dotycząca jej informacja nie była już, w aktualnym stanie rzeczy, powiązana z jej imieniem i nazwiskiem poprzez listę wyników wyszukiwania mającego za punkt wyjścia to imię i nazwisko. W tym względzie należy podkreślić, że stwierdzenie, iż takie prawo przysługuje, pozostaje bez związku z tym, czy zawarcie na liście wyników wyszukiwania danej informacji wyrządza szkodę osobie, której dotyczą dane.

97      Ponieważ osoba, której dotyczą dane, może, ze względu na przysługujące jej i przewidziane w art. 7 i 8 karty prawa podstawowe, zażądać, aby dana informacja nie była już podawana do wiadomości szerokiego kręgu odbiorców poprzez zawarcie jej na takiej liście wyników wyszukiwania, należy uznać, jak wynika w szczególności z pkt 81 niniejszego wyroku, że prawa te są co do zasady nadrzędne nie tylko wobec interesu gospodarczego operatora wyszukiwarki internetowej, lecz również wobec interesu, jaki ten krąg odbiorców może mieć w znalezieniu rzeczonej informacji w ramach wyszukiwania prowadzonego w przedmiocie imienia i nazwiska tej osoby. Taka sytuacja nie ma jednak miejsca, jeśli ze szczególnych powodów, takich jak rola odgrywana przez tę osobę w życiu publicznym, należałoby uznać, że ingerencja w prawa podstawowe tej osoby jest uzasadniona nadrzędnym interesem tego kręgu odbiorców, polegającym na posiadaniu, dzięki temu zawarciu na liście, dostępu do danej informacji.

98      W przypadku sytuacji takiej jak ta rozpatrywana w postępowaniu głównym, dotyczącej wyświetlania na liście wyników uzyskiwanej przez internautę prowadzącego za pomocą Google Search wyszukiwanie mające za punkt wyjścia imię i nazwisko danej osoby linków do archiwalnych stron internetowych dziennika, na których zamieszczone były zawierające imię i nazwisko tej osoby ogłoszenia w przedmiocie licytacji nieruchomości związanej z ich zajęciem wynikającym z niespłaconych należności na rzecz zakładu zabezpieczeń społecznych, należy uznać, że biorąc pod uwagę znaczenie, jakie zawarte w tych ogłoszeniach informacje mają dla prywatności tej osoby, oraz okoliczność, iż zostały one opublikowane ponad 16 lat temu, osoba, której dotyczą dane, ma uzasadnione prawo do tego, aby informacje te nie były już wiązane przez taką listę wyników wyszukiwania z jej imieniem i nazwiskiem. Ze względu zatem na to, że w niniejszym przypadku wydaje się, iż nie zachodzą szczególne powody uzasadniające nadrzędny interes kręgu odbiorców polegający na posiadaniu w ramach takiego wyszukiwania dostępu do tych informacji – czego sprawdzenie należy do sądu odsyłającego – osoba, której dotyczą dane, może na podstawie art. 12 lit. b) oraz art. 14 akapit pierwszy lit. a) dyrektywy 95/46 domagać się usunięcia tych linków z tej listy wyników wyszukiwania.

99      Z powyższego wynika, że na pytanie trzecie należy odpowiedzieć, że art. 12 lit. b) i art. 14 akapit pierwszy lit. a) dyrektywy 95/46 należy interpretować w taki sposób, iż w ramach oceny tego, czy spełnione zostały warunki zastosowania tych przepisów, należy w szczególności przeanalizować kwestię, czy osoba, której dotyczą dane, ma prawo do tego, aby dana dotycząca jej informacja nie była już, w aktualnym stanie rzeczy, powiązana z jej imieniem i nazwiskiem poprzez listę wyświetlającą wyniki wyszukiwania mającego za punkt wyjścia to imię i nazwisko, przy czym stwierdzenie, iż takie prawo przysługuje, pozostaje bez związku z tym, czy zawarcie na tej liście wyników wyszukiwania danej informacji wyrządza szkodę tej osobie. Ponieważ osoba ta może, ze względu na przysługujące jej i przewidziane w art. 7 i 8 karty prawa podstawowe, zażądać, aby dana informacja nie była już podawana do wiadomości szerokiego kręgu odbiorców poprzez zawarcie jej na takiej liście wyników wyszukiwania, prawa te są co do zasady nadrzędne nie tylko wobec interesu gospodarczego operatora wyszukiwarki internetowej, lecz również wobec interesu, jaki ten krąg odbiorców może mieć w znalezieniu rzeczonej informacji w ramach wyszukiwania prowadzonego w przedmiocie imienia i nazwiska tej osoby. Taka sytuacja nie ma jednak miejsca, jeśli ze szczególnych powodów, takich jak rola odgrywana przez tę osobę w życiu publicznym, należałoby uznać, że ingerencja w prawa podstawowe tej osoby jest uzasadniona nadrzędnym interesem tego kręgu odbiorców, polegającym na posiadaniu, dzięki temu zawarciu na liście, dostępu do danej informacji.

 W przedmiocie kosztów

100    Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.

Z powyższych względów Trybunał (wielka izba) orzeka, co następuje:

1)      Artykuł 2 lit. b) i d) dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych należy interpretować w taki sposób, że po pierwsze, prowadzoną przez wyszukiwarki internetowe działalność, która polega na zlokalizowaniu informacji opublikowanych lub zamieszczonych w Internecie przez osoby trzecie, indeksowaniu ich w sposób automatyczny, czasowym przechowywaniu takich informacji i wreszcie udostępnianiu ich internautom w sposób uporządkowany zgodnie z określonymi preferencjami, w sytuacji gdy informacje takie zawierają dane osobowe, należy uznać za „przetwarzanie danych osobowych” w rozumieniu art. 2 lit. b) tej dyrektywy, oraz po drugie, że operatora tej wyszukiwarki internetowej należy uznać za „administratora” odpowiedzialnego za przetwarzanie danych w rozumieniu tego art. 2 lit. d).

2)      Artykuł 4 ust. 1 lit. a) dyrektywy 95/46 należy interpretować w ten sposób, że przetwarzanie danych osobowych ma miejsce w ramach działalności gospodarczej prowadzonej przez zakład administratora danych odpowiedzialnego za to przetwarzanie na terytorium danego państwa członkowskiego w rozumieniu tego przepisu, jeśli operator wyszukiwarki internetowej ustanawia w danym państwie członkowskim oddział lub spółkę zależną, których celem jest promocja i sprzedaż powierzchni reklamowych oferowanych za pośrednictwem tej wyszukiwarki, a działalność tego oddziału lub tej spółki zależnej jest skierowana do osób zamieszkujących to państwo.

3)      Artykuł 12 lit. b) oraz art. 14 akapit pierwszy lit. a) dyrektywy 95/46 należy interpretować w ten sposób, że ustanowione w tych przepisach normy są przestrzegane, a przewidziane w nich warunki rzeczywiście spełnione wówczas, gdy operator wyszukiwarki internetowej jest zobowiązany do usunięcia z wyświetlanej listy wyników wyszukiwania mającego za punkt wyjścia imię i nazwisko danej osoby linków do publikowanych przez osoby trzecie stron internetowych zawierających dotyczące tej osoby informacje, również w przypadku gdy to imię czy nazwisko czy też te informacje nie zostały uprzednio czy też jednocześnie usunięte z tych stron internetowych, i, w odpowiednim przypadku, nawet jeśli ich publikacja na tych stronach jest zgodna z prawem.

4)      Artykuł 12 lit. b) i art. 14 akapit pierwszy lit. a) dyrektywy 95/46 należy interpretować w taki sposób, że w ramach oceny tego, czy spełnione zostały warunki zastosowania tych przepisów, należy w szczególności przeanalizować kwestię, czy osoba, której dotyczą dane, ma prawo do tego, aby dana dotycząca jej informacja nie była już, w aktualnym stanie rzeczy, powiązana z jej imieniem i nazwiskiem poprzez listę wyświetlającą wyniki wyszukiwania mającego za punkt wyjścia to imię i nazwisko, przy czym stwierdzenie, iż takie prawo przysługuje, pozostaje bez związku z tym, czy zawarcie na tej liście wyników wyszukiwania danej informacji wyrządza szkodę tej osobie. Ponieważ osoba ta może, ze względu na przysługujące jej i przewidziane w art. 7 i 8 karty prawa podstawowe, zażądać, aby dana informacja nie była już podawana do wiadomości szerokiego kręgu odbiorców poprzez zawarcie jej na takiej liście wyników wyszukiwania, prawa te są co do zasady nadrzędne nie tylko wobec interesu gospodarczego operatora wyszukiwarki internetowej, lecz również wobec interesu, jaki ten krąg odbiorców może mieć w znalezieniu rzeczonej informacji w ramach wyszukiwania prowadzonego w przedmiocie imienia i nazwiska tej osoby. Taka sytuacja nie ma jednak miejsca, jeśli ze szczególnych powodów, takich jak rola odgrywana przez tę osobę w życiu publicznym, należałoby uznać, że ingerencja w prawa podstawowe tej osoby jest uzasadniona nadrzędnym interesem tego kręgu odbiorców polegającym na posiadaniu, dzięki temu zawarciu na liście, dostępu do danej informacji.

Podpisy

* Język postępowania: hiszpański.